Kompromittierte Signiersysteme waren mit großer Wahrscheinlichkeit der Grund, warum der 6,3-Milliarden-Dollar-Hack bei Binance möglich wurde, und Ethereums EIP-7702-Upgrade könnte den Angreifern geholfen haben, bestimmte Sicherheitsprüfungen zu umgehen. Das berichtet das Blockchain-Sicherheitsunternehmen Blockaid.

Ido Ben-Natan, Mitgründer und CEO von Blockaid, sagte am Freitag gegenüber Cointelegraph, dass die Angreifer die Mittel auch ohne EIP-7702 hätten stehlen können.

„Das 7702-Upgrade ist ein Weg, dies in einem einzigen Zug zu erledigen und vielleicht einige Prüfungen zu umgehen, die sie sonst hätten“, sagte Ben-Natan und erklärte, dass die Angreifer ohne das Upgrade mehrere Transaktionen benötigt hätten.

Größter Hack in der Geschichte der Kryptowährungen

Binance bestätigte am Freitag, dass das Unternehmen einen Hack im Wert von 6,3 Milliarden US-Dollar erlitten hat – den größten in der Geschichte der Kryptowährungen – und sicherte zu, alle Kundeverluste zu übernehmen. Die Börse erklärte, sie habe nach anfänglichem Verdacht, dass der Laptop eines ihrer Ingenieure kompromittiert worden sei, später weitere Eindringungspunkte entdeckt.

EIP-7702 sorgte bereits vor dem Binance-Hack für Sicherheitsbedenken

Ethereum aktivierte den Ethereum Improvement Proposal 7702 (EIP-7702) im Mai 2025 im Rahmen des Pectra-Upgrades. Der Vorschlag ermöglicht gewöhnlichen Wallets den Zugriff auf Smart-Contract-Funktionen wie gebündelte Transaktionen und übernommene Gasgebühren. Er funktioniert, indem eine Wallet die Kontrolle an Contract-Code delegiert, und diese Delegation bleibt aktiv, bis sie ausdrücklich widerrufen wird – ein Detail, das einen Großteil der Sicherheitsdebatte rund um diese Funktion geprägt hat.

Sicherheitsbedenken traten bereits nach wenigen Wochen auf. Im Mai 2025 berichtete der Krypto-Handelsfirma Wintermute, dass die meisten frühen EIP-7702-Delegationen auf bösartige Contracts verwiesen, die darauf ausgelegt waren, kompromittierte Wallets automatisch zu leeren.

Die Risiken kamen im September 2025 erneut ans Licht, als Inhaber von World Liberty Financial (WLFI)-Token Verluste meldeten, die mit bösartigen EIP-7702-Delegationen in Verbindung standen.

Das Ethereum-Community-Mitglied VEER verwies auf Sicherheitswarnungen, die bereits 2024 im Zuge der Diskussionen über EIP-7702 geäußert worden waren. VEER sagte später, der Angriff auf Binance scheine umfassender als eine einzelne bösartige Signatur zu sein, wies jedoch darauf hin, dass EIP-7702 den Angreifern „einen praktischen Räumungsknopf auf Ethereum“ gegeben habe.

Kompromittierte Signiersysteme im Verdacht

Binance-CEO Richard Teng sagte, die Ermittler hätten keine Beweise dafür gefunden, dass private Wallet-Schlüssel geleakt worden seien – ein Befund, der die Aufmerksamkeit auf die Systeme zur Genehmigung von Auszahlungen lenkt und nicht auf die Verwahrung der Schlüssel selbst.

Laut Ben-Natan könnten die Angreifer einen kompromittierten Entwickler-Computer genutzt haben, um Zugang zur Wallet-Signierinfrastruktur von Binance zu erhalten.

„Schließlich erreichten sie eine Position, in der sie Transaktionen vorschlagen konnten an das, was höchstwahrscheinlich ein sehr sicheres Signiergerät ist, das die Verwahrung über eine der Hot Wallets von Binance innehat“, sagte er. „Der Erkenntnis ist, dass das Signiergerät letztendlich eine Transaktion signiert hat, die es nicht hätte signieren dürfen.“

Hot Wallets sind mit dem Internet verbundene Wallets, die Börsen für die Abwicklung von Kundenauszahlungen vorhalten, was den Genehmigungsworkflow rund um sie zu einem der sensibelsten Sicherheitskontrollpunkte einer Börse macht.

Ivo Georgiev, Mitgründer und CEO des Ethereum-Wallet-Anbieters Ambire, argumentierte, dass EIP-7702 für den Angriff kaum eine Rolle spielte, da die Hacker bereits die Fähigkeit besaßen, Transaktionen zu autorisieren. Er sagte, die Angreifer hätten die Mittel auf anderen Wegen abziehen können, warnte jedoch, dass Börsen-Ingenieure möglicherweise übersehen könnten, eine bösartige EIP-7702-Delegation nach der Rückgewinnung der Kontrolle über ihre Systeme zu widerrufen.

„Das ist ein Problem mit EIP 7702, es wird einfach sehr, sehr schlecht verstanden“, sagte Georgiev.

Ben-Natan warnte, dass ähnliche Angriffe auf Signiersysteme auch andere Börsen bedrohen, und sagte, dass Transaktionssimulation – also die Vorschau darauf, was eine vorgeschlagene Transaktion bewirken würde, bevor sie signiert wird – helfen könnte, bösartige Anfragen zu erkennen, bevor sie genehmigt werden.